概要: 土耳其SaaS法律工作涉及合同、云运营、服务水平、个人数据、知识产权、电子商务、支付、网络安全及商业争议。
我们的服务对象： 土耳其及外国SaaS公司、软件提供商、云业务企业、技术平台、企业客户、经销商、投资者及计划进入市场的公司。
我们在土耳其提供的SaaS法律服务
Turkish Trade Lawyers在整个客户和产品生命周期内为SaaS企业提供支持，从进入市场及首份企业合同，到本地化、数据合规、经销网络、监管审查及争议解决。
SaaS协议与合同文件组合
MSA、订阅、企业、订单、服务条款、点击同意、实施、专业服务及软件许可文件。
SLA与服务水平
正常运行时间、维护、事件优先级、响应目标、服务抵扣、连续性、备份、灾难恢复及升级处理救济。
DPA、KVKK与VERBIS
控制者与处理者分析、数据映射、告知、分处理者、保存、安全、请求、泄露响应及登记工作。
数据控制者代表
为外国控制者安排代表任命及沟通，包括VERBIS评估、提交、更新及与主管机关的往来。
国际数据传输
根据修订后的KVKK第9条制定传输映射及保障，包括标准合同选择及通知支持。
商业与技术交易
经销、渠道、API、集成、白标、嵌入式SaaS、收购、投资及尽职调查安排。
知识产权、开源与网络安全
软件权属、转让、许可合规、保密、安全附录、事件及第7545号《网络安全法》问题。
电子商务、支付与争议
消费者订阅、商业消息、ETBIS、支付结构、收款、终止、数据退出及SaaS争议。
外国SaaS公司能否向土耳其销售？
外国SaaS公司可能能够向土耳其客户销售，而无需立即设立土耳其公司。这一结论并非自动成立：本地员工或代理人、持续境内销售、经销商或分销商、土耳其语客户流程、支付安排、消费者订阅、受监管客户及个人数据处理可能产生额外义务。
推出业务前，我们梳理商业路径、订约实体、税务和开票情况、客户类别、支持模式、数据流、托管、分包商及争议解决机构。这可避免企业将跨境订阅、土耳其分支机构及本地经销商视为同一种法律模式。
SaaS协议与土耳其合同体系
可扩展的SaaS业务需要一套协调一致的合同体系，而非单一通用在线文件。通常的结构是 MSA或SaaS协议 ，并配套订单、SLA、DPA、安全附录、可接受使用政策，以及必要时的实施或专业服务条款。
- 服务范围、订阅计量指标、用户权限、接入及实施；
- 费用、税款、开票、续订、价格变更、暂停及付款失败；
- 可用性、支持、维护、服务抵扣及业务连续性承诺；
- 保密、个人数据、安全控制、分处理者及审计配合；
- 知识产权归属、许可范围、客户内容、反馈、开源组件及AI使用；
- 可接受使用、保证、赔偿、责任上限、终止及数据迁移。
我们根据土耳其强制性规则将条款本地化，同时保留国际SaaS模板的商业逻辑。点击同意及在线订约也应就告知、接受、版本控制、证据及面向消费者的要求进行审查。
SLA、支持与服务连续性
SLA将技术承诺转化为可执行的运营模式。它应界定服务指标、衡量方法、维护窗口及排除计算的停机时间，而非仅依赖醒目的正常运行时间百分比。
性能与支持
可用性、相关情况下的延迟、事件严重程度、支持渠道、响应与解决目标、升级处理及服务抵扣机制。
韧性与退出
备份、恢复目标、灾难恢复、安全事件、业务连续性、反复故障救济及客户数据导出。
DPA、KVKK及控制者与处理者角色
在判断SaaS提供商属于数据控制者、处理者，还是在不同操作中兼具两种角色之前，我们会评估实际处理活动。客户可能决定平台内处理活动的目的，而提供商可能仍就自身计费、账户安全、分析或产品改进活动作为控制者。
DPA应与数据清单、隐私告知、安全文件及分处理者名单相一致。它应涵盖指示、数据类别、数据主体、保密、技术与组织措施、协助处理请求及泄露、审计权、保存、删除及返还。
数据控制者代表与VERBIS
在相关KVKK与VERBIS条件适用时，未在土耳其设立的外国数据控制者可能需要一名数据控制者代表，即 Veri Sorumlusu Temsilcisi。代表可以是土耳其法人或土耳其公民，可协助沟通、登记程序及向主管机关作出答复。
VERBIS分析应以控制者的活动、规模、数据类别及适用豁免为基础。需要登记时，工作通常包括数据清单、处理目的、接收方、传输、安全措施、保存，以及随SaaS产品变化保持准确的更新流程。
从土耳其进行的国际数据传输
云架构通常意味着客户数据、支持访问或备份会跨越国境。修订后的KVKK第9条及相关规则要求根据实际控制者与处理者角色、目的地、目的、数据类别及保障开展传输评估。
选择标准合同时，正确范本可能为控制者至控制者、控制者至处理者、处理者至处理者或处理者至控制者。已签合同、传输映射、安全控制及向个人数据保护局作出的任何必要通知应相互协调；现行框架提及签署后五个工作日的通知期限。
我们还审查其他传输路径、后续传输、分处理者变更、客户指示、数据本地化请求及退出义务，使传输机制在日常运营中保持可行。
经销、API、集成与白标SaaS
渠道及嵌入式模式会改变与客户订约的主体、支持提供方、处理目的决定方，以及承担消费者、安全和支付风险的主体。经销及分销协议应规定区域、独家性、销售权限、定价、税务、客户归属、品牌使用、支持、续订及终止。
API、集成及白标条款应分配凭证、技术变更、服务依赖、数据访问、知识产权、安全事件、模型输出、客户沟通及责任方面的职责。尽职调查审查也应识别该安排是否可能被视为受监管的支付、金融或电信活动。
软件知识产权、开源、AI与网络安全
软件主要通过第5846号法律下的著作权获得保护，并以合同、保密、商标及相关情况下的工业产权策略支持权利地位。SaaS公司应就员工、承包商及供应商的贡献保持清晰的权属链条，并确保许可限制与交付模式兼容。
在作出广泛的企业客户保证之前，开源清单应识别宽松许可和著佐权许可、署名、源代码披露、再分发及兼容性要求。对于采用AI的SaaS，合同应规定输入与输出、模型训练、保密信息、第三方模型、准确性、人工审查、自动化决策及责任分配。
安全附录及事件计划应涵盖访问、加密、日志记录、漏洞管理、通知、合作、监管请求、连续性、分包商及证据保全。第7545号《网络安全法》是否相关可能取决于实体、系统及活动。
电子商务、消费者、商业消息与支付
订阅销售可能涉及第6563号《电子商务监管法》、《远程合同条例》、《订阅合同条例》及第6502号《消费者保护法》。提供商应根据购买者属于消费者还是企业，评估信息义务、电子订约、取消与撤回、自动续订、退款、不公平条款及客户支持。
商业电子邮件、短信及类似消息可能触发同意、退出及IYS要求。ETBIS及其他电子商务信息义务取决于商业模式。若平台处理资金或提供支付服务，可能需要评估第6493号法律及中央银行监管，而不能将支付功能视为普通SaaS功能。
数据退出、责任、尽职调查与争议
终止既是产品事件，也是法律事件。合同应规定通知、暂停、导出格式、迁移协助、过渡期、删除证明、备份处理及终止后访问。清晰的数据退出计划可降低运营风险，并使责任讨论更加明确。
我们就责任上限、除外责任、数据与保密索赔、知识产权赔偿、服务抵扣、第三方索赔、准据法、仲裁或法院管辖、临时救济及在土耳其的执行提供咨询。对于投资者及收购方，我们审查合同清单、客户集中度、知识产权链条、开源合规、DPA与传输情况、安全事件及监管风险。
土耳其SaaS法律：常见问题
土耳其规范SaaS的主要法律是什么？
土耳其没有单独的SaaS专门法。评估SaaS模式时，通常需要适用与产品和交易有关的《土耳其债务法典》、《商法典》以及数据保护、电子商务、消费者、知识产权、支付、竞争和网络安全规则。
外国SaaS公司是否需要设立土耳其公司？
并非总是需要。外国SaaS提供商可能能够进行跨境销售，但本地人员、销售活动、经销商、支付安排、客户类型、数据处理及监管触点可能改变分析结果。应在推出业务前审查商业模式。
SaaS协议应包括哪些内容？
SaaS合同应规定服务、订阅与定价、用户权利、实施、支持、SLA、安全、数据处理、知识产权、可接受使用、暂停、终止、数据退出、责任、赔偿、准据法及争议。
MSA与SaaS订阅协议有何区别？
MSA为持续合作关系确立总体法律和商业框架。订阅协议或订单通常列明所选服务、用户、期限、价格及产品特定细节。各文件应相互配合，避免条款冲突。
SaaS的SLA应涵盖哪些内容？
SLA通常涵盖正常运行时间、维护、排除计算的停机时间、事件级别、响应与解决目标、服务抵扣、升级处理、业务连续性、备份、灾难恢复、安全事件及反复发生服务故障时的救济。
SaaS的DPA应涵盖哪些内容？
DPA应规定控制者与处理者角色、书面指示、数据类别、数据主体、分处理者、安全、国际传输、事件通知、审计权、保存，以及终止时的数据删除与返还。
根据KVKK，SaaS提供商属于控制者还是处理者？
角色取决于实际处理活动，而非仅由合同中的名称决定。提供商可能按照书面指示作为处理者处理客户数据，同时就自身账户、计费、安全、分析或产品改进目的作为控制者。
KVKK是否适用于外国SaaS提供商？
可能适用。KVKK分析取决于提供商的处理活动、土耳其数据主体或客户、设立情况、代表安排、数据流及各方角色。应根据实际模式梳理告知文件、合同、安全、保存及传输机制。
土耳其的数据控制者代表是什么？
对于未在土耳其设立且承担VERBIS义务的外国数据控制者，数据控制者代表，即Veri Sorumlusu Temsilcisi，可能具有相关性。代表可以是土耳其法人或土耳其公民，可协助沟通及登记程序。
外国SaaS公司是否必须在VERBIS登记？
VERBIS登记取决于数据控制者的身份、处理规模及适用豁免。承担相关登记义务的外国控制者应与土耳其律师评估代表任命、数据清单、接收方、传输、安全及更新。
从土耳其传输SaaS数据是否必须使用标准合同？
根据修订后的KVKK第9条框架，标准合同可以是一种可用的传输机制。正确的标准合同范本取决于控制者或处理者角色及传输方向，基础处理和安全安排也必须保持一致。
KVKK标准合同的五个工作日通知规则是什么？
以KVKK标准合同作为传输保障时，主管机关现行框架要求在签署后五个工作日内通过相关通知程序进行通知。应谨慎管理提交记录及后续变更。
SaaS公司是否需要与每位客户订立DPA？
提供商代表客户处理客户个人数据时，通常需要DPA或同等数据处理条款。文件应反映实际控制者与处理者关系，不应被视为更广泛KVKK合规的替代。
SaaS提供商能否使用位于境外的分处理者？
可能可以，但须满足客户透明度或授权、合同义务的逐级传递、安全、传输保障、事件程序及删除或返还义务。每个重要分处理者及数据路径均应纳入供应商和传输映射。
土耳其消费者法是否适用于SaaS订阅？
可能适用。消费者身份、产品及订约渠道可能触发《消费者保护法》、《远程合同条例》、《订阅合同条例》及电子商务规则。应审查消费者信息、撤回、续订、取消及不公平条款风险。
SaaS提供商是否承担ETBIS或营销通信义务？
部分SaaS商业模式可能承担电子商务信息或ETBIS义务，而商业电子消息可能受第6563号法律、同意、退出及IYS要求约束。分析取决于销售方、接收方、渠道和消息目的。
土耳其如何保护SaaS软件？
软件主要通过第5846号法律下的著作权获得保护，并辅以合同、商业秘密、商标，以及相关情况下的专利或工业产权策略。应记录员工、承包商及供应商的权属与转让链条。
面向外国技术企业的SaaS法律咨询
完善的SaaS文件应与产品架构、销售路径及数据实际情况相匹配。Turkish Trade Lawyers协助国际软件企业进入市场、与土耳其客户订约、构建渠道关系、管理KVKK与传输要求、保护软件权利及解决商业争议。
